17. Februar: Im Inneren der Abhöranlage
Am 17. Februar 2026 entdeckten Netzsicherheitsanalysten im Federal Bureau of Investigation auffällige Aktivität in einem System namens DCS-3000, intern bekannt als Red Hook. Es ist eine nicht als geheim eingestufte Komponente des Digital Collection System Network — der zentralen Plattform des FBI zur Verwaltung gerichtlich genehmigter Abhörmaßnahmen und Überwachungsanordnungen nach dem Foreign Intelligence Surveillance Act bei amerikanischen Telekommunikationsanbietern. Red Hook verarbeitet Pen-Register- sowie Trap-and-Trace-Daten: die Rufnummern, die Menschen anrufen, die Routing-Informationen, die zeigen, wo Anrufe beginnen und enden, die Zeitstempel, die zeigen, wann kommuniziert wird, und die Identitäten der Personen, gegen die aktiv bundesbehördlich ermittelt wird.
Jemand, der nicht dort sein sollte, war drinnen.
Der Einbruch wurde nach dem Federal Information Security Modernization Act als "major incident" — schwerwiegender Vorfall — eingestuft, eine der schwersten Einstufungen im bundesbehördlichen Cybersicherheitsrahmen, vorbehalten Kompromittierungen, die Systeme der nationalen Sicherheit oder personenbezogene Daten von mehr als 100.000 Personen betreffen. Das FBI informierte den Kongress. Die Zuordnung überraschte, als sie kam, niemanden, der aufmerksam gewesen war: Salt Typhoon, eine Cyberspionagegruppe mit Verbindungen zu Chinas Ministerium für Staatssicherheit.
Was Salt Typhoon erlangte, war keine zufällige Datensammlung. Es war die operative Landkarte der amerikanischen Überwachung — ein Verzeichnis darüber, wen das FBI beobachtet, wen diese Zielpersonen anrufen und wie die Ermittlungen der Behörde aufgebaut sind. Für einen nachrichtendienstlichen Gegner gehört das zu den wertvollsten Informationen, die man besitzen kann. Es sagt einem nicht nur, was der Gegner weiß, sondern auch, was er herauszufinden versucht. Wer als chinesischer Geheimdienstoffizier Agenten in den Vereinigten Staaten führt, erfährt aus diesen Daten, welche der eigenen Leute identifiziert wurden und welche unsichtbar geblieben sind. Wer eine Quelle in einer US-Regierungsbehörde führt, weiß nun, ob die Rufnummer dieser Quelle auf der aktiven Zielliste des FBI auftaucht. Der nachrichtendienstliche Wert ist nicht graduell. Er ist katastrophal.
Die Vordertür zu Amerikas Überwachungssystem hatte offengestanden, und China ist hindurchgegangen.
Die neun Telekommunikationskonzerne
Der DCSNet-Einbruch war nicht Salt Typhoons erste Operation innerhalb amerikanischer Infrastruktur. Er war die jüngste.
Zwischen 2019 und 2024 drang Salt Typhoon in neun US-amerikanische Telekommunikationsunternehmen ein: AT&T, Verizon, T-Mobile, Charter/Spectrum, Lumen Technologies, Consolidated Communications, Windstream und zwei weitere, die nicht öffentlich benannt wurden. Der Umfang der Kampagne war außergewöhnlich. Metadaten von mehr als einer Million Nutzerinnen und Nutzern — Anrufzeitstempel, Routing-Daten von Textnachrichten, Quell- und Ziel-IP-Adressen, Rufnummern — wurden abgegriffen. Die höchste Konzentration kompromittierter Daten lag im Großraum Washington, D.C., ein Umstand, dessen Bedeutung für die nationale Sicherheit kaum erläutert werden muss. Die politische Klasse der Hauptstadt, ihre Lobbyisten, ihre Mitarbeiterstäbe, ihre Geheimdienstvertreter — deren Anrufmuster, deren Kontakte, Zeitpunkt und Dauer ihrer Kommunikation — wurden über Jahre hinweg von einem ausländischen Nachrichtendienst abgeschöpft.
Der Angriffsvektor bei den Telekom-Einbrüchen war derselbe, der Salt Typhoon später den Zugang zu DCSNet verschaffte: die Abhörarchitektur, die der Communications Assistance for Law Enforcement Act vorschreibt.
CALEA, 1994 von Präsident Clinton in Kraft gesetzt, verpflichtet jeden in den Vereinigten Staaten tätigen Telekommunikationsanbieter, Abhörfähigkeiten in seine Vermittlungsinfrastruktur einzubauen. Das Gesetz schreibt vor, dass Anbieter in der Lage sein müssen, die Kommunikation jedes betroffenen Anschlussinhabers auf Vorlage eines gültigen Gerichtsbeschlusses zu isolieren und an die Strafverfolgung auszuleiten. In der Praxis heißt das: Jeder amerikanische Telekommunikationsanbieter unterhält faktisch einen dauerhaften, eingebauten Überwachungszugang — eine Tür, die eigens dafür existiert, dass der Staat hindurchgehen kann.
Salt Typhoon ging stattdessen hindurch.
Eine zweiunddreißigjährige Warnung
CALEA war vom Moment seines Vorschlags an umstritten. Als die Clinton-Regierung 1993 und 1994 die Gesetzgebung vorantrieb, erhob eine Koalition aus Technologieunternehmen, Bürgerrechtsorganisationen und Sicherheitsforschenden einen konkreten Einwand: Jede in Telekommunikationsinfrastruktur eingebaute Abhörfähigkeit werde unweigerlich zum Ziel von Gegnern. Eine Hintertür, so argumentierten sie, prüfe keine Berechtigungen. Sie sei eine strukturelle Schwachstelle, und jeder hinreichend versierte Angreifer werde sie irgendwann finden und ausnutzen.
Das FBI, das Justizministerium und ihre Verbündeten im Kongress wischten diese Warnungen beiseite. Die Abhörarchitektur werde ordentlich abgesichert, hieß es. Zugriffskontrollen würden unbefugte Nutzung verhindern. Der Nutzen rechtmäßigen Zugriffs auf kriminelle Kommunikation überwiege die theoretischen Risiken.
Zweiundzweiunddreißig Jahre später hat Chinas Ministerium für Staatssicherheit den empirischen Test dieser Theorie geliefert. Das Ergebnis ist eindeutig.
Der technische Mechanismus des Einbruchs ist aufschlussreich. Salt Typhoon musste keine Verschlüsselung brechen. Die Gruppe musste keine Passwörter knacken und keine Zero-Day-Schwachstellen in der zentralen Vermittlungstechnik der Anbieter ausnutzen. Sie kompromittierte einen kommerziellen ISP-Zulieferer — eines jener Drittunternehmen, die den Anbietern Infrastrukturdienste liefern — und nutzte diesen Zugang, um an die von CALEA vorgeschriebenen Abhörzugangspunkte zu gelangen. Die Hintertür war kein Geheimgang in einer befestigten Mauer. Sie war eine Tür in der Mauer, mit einem Schloss, und jemand hat das Schloss geknackt.
Das ist das grundlegende Problem vorgeschriebener Zugänge: Die Sicherheit des Systems hängt nicht nur von der Sicherheit der Tür selbst ab, sondern von der Sicherheit jedes Zulieferers, Auftragnehmers, Subunternehmers und Wartungspfades, der mit ihr verbunden ist. In einem modernen Telekommunikationsnetz umfasst diese Lieferkette Hunderte von Unternehmen. Jedes einzelne davon kann der Einstiegspunkt sein. Salt Typhoon hat eines gefunden. Der nächste Angreifer wird ein anderes finden.
Das ist keine neue Erkenntnis. Es ist der zentrale Befund der wegweisenden Arbeit von 1997, "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption", unterzeichnet von praktisch jeder wichtigen Figur der kryptografischen Forschungsgemeinschaft. Die Arbeit kam zu dem Schluss, dass der Einbau staatlicher Zugänge in Kommunikationsinfrastruktur Schwachstellen erzeugt, die sich nicht angemessen eindämmen lassen. Neunundzwanzig Jahre später liest sich der Text weniger wie eine Warnung und mehr wie eine Prophezeiung.
Die Warnung des Direktors
Die dramatische Ironie des DCSNet-Einbruchs lässt sich kaum überschätzen.
2024 sagte FBI-Direktor Christopher Wray vor dem Kongress aus, chinesische Cyberoperationen stellten die bestimmende Bedrohung für Amerikas kritische Infrastruktur dar. Er warnte, mit China verbundene Hacker hätten sich in US-Systemen vorpositioniert — Stromnetze, Wasseraufbereitungsanlagen, Telekommunikationsnetze — als Vorbereitung auf einen möglichen Konflikt, wie er es beschrieb. Die Warnungen waren eindringlich, konkret und düster.
Was Wray in diesen Anhörungen nicht offenlegte und was erst nach seinem Ausscheiden öffentlich werden sollte: Salt Typhoon hatte zum Zeitpunkt seiner Aussage die CALEA-Infrastruktur bei mehreren US-Anbietern bereits kompromittiert. Das FBI warnte Amerika vor chinesischem Eindringen in kritische Systeme, während sein eigenes Überwachungssystem bereits kompromittiert war.
Wrays Nachfolger Kash Patel bestätigte den DCSNet-Einbruch nach Amtsantritt, hat sich aber öffentlich nicht zur strukturellen Frage geäußert: Wenn die gesetzlich vorgeschriebene Abhörarchitektur die Angriffsfläche war, sollte diese Architektur dann weiter existieren?
Die Vertuschung kommt hinzu
Im Februar 2026 erklärte Senatorin Maria Cantwell, ranghöchstes Minderheitsmitglied im Handelsausschuss des Senats, öffentlich, AT&T und Verizon blockierten die Veröffentlichung von Sicherheitsberichten zu den Salt-Typhoon-Einbrüchen. Die Anbieter haben dies nicht bestritten. Sie haben eine Stellungnahme abgelehnt.
Die Folgen sind erheblich. Wenn die Anbieter dem Kongress Sicherheitsbewertungen vorenthalten, können weder Abgeordnete noch die Öffentlichkeit das Ausmaß der Kompromittierung, die Angemessenheit der Gegenmaßnahmen oder die Frage vollständig beurteilen, ob Salt Typhoon aus den durchdrungenen Netzen entfernt wurde. Sicherheitsforschende, die die Einbrüche untersucht haben, warnen, dass Salt Typhoon sich wahrscheinlich weiterhin in US-Telekommunikationsnetzen befindet — dass die Gruppe dauerhafte Zugangsmechanismen eingerichtet hat, die nicht vollständig identifiziert oder entfernt wurden. Die Weigerung der Anbieter, ihre Sicherheitsberichte herauszugeben, macht eine unabhängige Überprüfung unmöglich.
Da ist außerdem die Sache mit den E-Mails der Kongressmitarbeiter. Ermittler haben angedeutet, Salt Typhoon könnte über die Telekom-Kompromittierungen auf E-Mail-Konten von Mitarbeiterinnen und Mitarbeitern des Kongresses zugegriffen haben. Sollte sich das bestätigen, hieße das: Ein chinesischer Nachrichtendienst erhielt nicht nur Zugang zu den Zielerfassungsinformationen der FBI-Überwachung, sondern auch zur internen Kommunikation jenes gesetzgebenden Organs, das diese Überwachung beaufsichtigen soll.
Die 72 Kongressmitglieder, die einen Brief mit der Forderung nach einer Untersuchung staatlicher Datenkäufe ohne Beschluss unterzeichnet haben, stehen nun vor einer unangenehmeren Frage: Die gesetzlich vorgeschriebene Überwachungsinfrastruktur der Regierung könnte einem ausländischen Gegner Zugang zu ihrer eigenen Kommunikation verschafft haben. Die Instanz, die Rechenschaft einfordern soll, bekommt die Sicherheitsberichte nicht. Die Instanz, die die Hintertür gebaut hat, kann nicht feststellen, wer hindurchgegangen ist. Die Anbieter, bei denen eingebrochen wurde, blockieren die Untersuchung ihres eigenen Einbruchs. Jede Schicht des Systems, die Aufsicht gewährleisten soll, versagt gleichzeitig.
Die Überwachung, die man kaufen kann
Der Salt-Typhoon-Einbruch ist dramatisch, weil es um eingestufte Abhörsysteme, staatlich gelenkte Hacker und die sensibelsten operativen Daten des FBI geht. Doch ein Bericht, der einen Tag vor diesem Artikel erschien — am 11. April 2026 —, verfasst vom Citizen Lab der University of Toronto, offenbart etwas strukturell Beunruhigenderes: Man muss ein Überwachungssystem nicht hacken, wenn man eines kaufen kann.
Der Bericht dokumentiert ein Werkzeug namens Webloc, entwickelt von der israelischen Geheimdienstfirma Cobwebs Technologies und nach einer Fusion 2023 nun von Penlink vertrieben. Webloc verfolgt Bewegungen, Standorte und persönliche Merkmale von Gerätebesitzern über 500 Millionen Geräte hinweg, anhand von Daten, die mobile Anwendungen angeblich zu Werbezwecken erheben — Standort-Pings, Bewegungsmuster, Wohnanschriften, Arbeitsplätze und bis zu drei Jahre historischer Standortdaten. Kein Beschluss erforderlich. Kein Gerichtsbeschluss. Kein Hack. Nur eine Bestellung.
Die Kundenliste umfasst die gesamte amerikanische Strafverfolgung: ICE, das US-Militär, das Texas Department of Public Safety, die Bezirksstaatsanwaltschaften von New York City, das LAPD, das Dallas Police Department, das Baltimore PD, das Tucson PD, das Durham PD, Elk Grove, Pinal County und DHS West Virginia. Allein das FBI zahlte 27 Mio. $ für 5.000 Lizenzen von Babel Streets Locate X, einem vergleichbaren Produkt. Webloc arbeitet über 198 aktive Server — 126 in den Vereinigten Staaten, 32 in den Niederlanden, 17 in Singapur, 8 in Deutschland, 8 in Hongkong und 7 im Vereinigten Königreich.
Die Infrastruktur folgt einer einfachen ökonomischen Logik: Kostenlose Apps brauchen Einnahmen, Einnahmen kommen aus Werbung, Werbung ist wertvoller, wenn sie zielgerichtet ist, und Zielgerichtetheit erfordert Standortdaten. Das gesamte globale Ad-Tech-Ökosystem — Milliarden Dollar Jahresumsatz — beruht auf der fortlaufenden Erhebung und dem Verkauf genau jener Daten, die Nachrichtendienste für Überwachung brauchen. Die Werbeindustrie hat Überwachung nicht bloß ermöglicht. Sie hat die Infrastruktur gebaut, sie auf Skalierung optimiert und sie jedem mit einem Budget zugänglich gemacht. Die Regierung braucht keine vorgeschriebenen Hintertüren, um ihre Bürgerinnen und Bürger zu verfolgen. Die Ad-Tech-Industrie hat die Vordertür längst gebaut, und sie steht jedem Käufer offen.
Ungarn wählt heute unter Überwachung
Die internationale Reichweite dieser Werkzeuge ist nicht theoretisch. Heute — am 12. April 2026 — hält Ungarn Wahlen ab, unter dem womöglich am ausführlichsten dokumentierten Überwachungsapparat, der je gegen die eigene Wählerschaft einer europäischen Demokratie eingesetzt wurde.
Cobwebs Technologies — dieselbe Firma, die Webloc gebaut hat — schloss im März 2026, Wochen vor der Wahl, Lizenzverlängerungen mit dem ungarischen Inlandsgeheimdienst ab. Ungarn ist der erste bestätigte EU-Mitgliedstaat, der Webloc gegen die eigene Bevölkerung einsetzt. Forschende sagen, der Einsatz verstoße eklatant gegen die Datenschutz-Grundverordnung der EU. Es wurden keine Durchsetzungsmaßnahmen ergriffen.
Die Überwachung reicht tiefer als Ad-Tech-Verfolgung. Oppositionsführer Péter Magyar hat behauptet, die Regierung Orbán habe Candiru — militärtaugliche Spyware einer weiteren israelischen Firma — gegen seine Tisza-Partei eingesetzt. Der investigative Journalist Szabolcs Panyi wurde vor der Wahl der Spionage beschuldigt. Der Versuch der Regierung, ein eigenes OSINT-Überwachungssystem zu bauen — ein Millionen-Euro-Projekt namens Quvasz, geleitet vom früheren Spionageabwehr-Oberst Tamás Berki und verbunden mit Antal Rogán, dem Leiter des Kabinettsbüros des Ministerpräsidenten, der sowohl Nachrichtendienste als auch Propaganda beaufsichtigt —, war ein technischer Fehlschlag; also kaufte sie stattdessen erprobte Werkzeuge vom privaten Überwachungsmarkt. Die Washington Post berichtete, Russland habe vorgeschlagen, ein Attentat zu inszenieren, um den Wahlausgang zu beeinflussen. Russische Desinformationsoperationen wurden parallel zum Überwachungsapparat dokumentiert.
Das ist es, was der Überwachungsmarkt hervorbringt: Werkzeuge, gebaut für die Strafverfolgung in Demokratien, verkauft an Nachrichtendienste, die sie gegen Oppositionsparteien, Journalisten und Wählerinnen und Wähler am Wahltag einsetzen. Dieselbe Cobwebs-Technologie, die 500 Millionen Geräte für amerikanische Polizeibehörden verfolgt, verfolgt ungarische Bürgerinnen und Bürger auf dem Weg zur Wahlurne.
Das Vereinigte Königreich baut die nächste Angriffsfläche
Das Muster erstreckt sich auf andere Demokratien, die nicht bloß Überwachungswerkzeuge einkaufen, sondern Überwachungsinfrastruktur in das Gewebe des öffentlichen Raums einbauen.
Das Vereinigte Königreich kündigte Anfang 2026 an, seinen Einsatz von Live-Gesichtserkennung von 10 mobilen Transportern auf 50 auszuweiten, verteilt auf jede Polizeibehörde in England und Wales. Die Regierung stellte 26 Mio. Pfund für das nationale Gesichtserkennungssystem bereit, 11,6 Mio. Pfund eigens für Live-Gesichtserkennungstechnik und 115 Mio. Pfund über drei Jahre für ein National Centre for AI in Policing. Die Ausweitung ist Teil eines Regierungsweißbuchs zu Polizeireformen, das auch die Schaffung eines "British FBI" — eines National Police Service — vorsieht. Die Ausweitung wurde angekündigt, bevor die zwölfwöchige öffentliche Konsultation der Regierung zum Einsatz von Gesichtserkennung abgeschlossen war. Die NEC Corporation, der Auftragnehmer, ist dieselbe Firma, deren Technik mit Operationen in Israel in Verbindung gebracht wurde.
Das Vereinigte Königreich ist auch das Land, das Apple unter dem Investigatory Powers Act eine geheime Technical Capability Notice zustellte — eine Anordnung, die Apple zwang, Advanced Data Protection am 21. Februar 2025 für britische Nutzer zurückzuziehen und damit die Ende-zu-Ende-Verschlüsselung für iCloud-Daten zu beseitigen. Im Februar 2026 kündigte Signal an, sich aus Schweden zurückzuziehen, statt einem geplanten Gesetz zu folgen, das Hintertürzugang zu verschlüsselter Kommunikation verlangt. Die Ankündigung wurde als direkte Aussage über Salt Typhoon verstanden: Das passiert, wenn man Hintertüren vorschreibt.
Das Vereinigte Königreich baut gleichzeitig ein landesweites biometrisches Überwachungsnetz und einen Rechtsrahmen, der Unternehmen zwingt, Verschlüsselung zu schwächen. Achtzig Prozent der britischen Öffentlichkeit gaben in Umfragen an, sie fänden den polizeilichen Einsatz von Gesichtserkennung "comfortable" — unbedenklich —, doch nur 55 Prozent trauen der Polizei zu, sie "responsibly" — verantwortungsvoll — einzusetzen. Diese Lücke zwischen Unbedenklichkeit und Vertrauen ist der Raum, in dem sich Überwachungsinfrastruktur ausbreitet, bevor die Rechenschaft nachkommt. Das Vereinigte Königreich errichtet das nächste DCSNet — eine zentralisierte Überwachungsinfrastruktur mit vorgeschriebenen Zugangspunkten, die, wenn die Geschichte ein Maßstab ist, irgendwann von denselben Gegnern kompromittiert wird, zu deren Beobachtung sie gedacht war.
Die Architektur des Problems
Der Reflex nach den Salt-Typhoon-Einbrüchen ist der Ruf nach besserer Sicherheit — strengeren Zugriffskontrollen, gründlicherer Prüfung von Zulieferern, verbesserter Überwachung der Abhörinfrastruktur. Das sind vernünftige Maßnahmen, und einige davon werden umgesetzt werden. Doch sie behandeln das Symptom, nicht die Krankheit.
Die Krankheit ist architektonisch. Jedes System, das einen dauerhaften Zugangspunkt für die Strafverfolgung vorhält, hält einen dauerhaften Zugangspunkt für jeden vor, der die Zugriffskontrollen kompromittieren kann. Die Geschichte der Computersicherheit ist in diesem Punkt eindeutig: Zugriffskontrollen versagen. Sie versagen wegen menschlicher Fehler, wegen Kompromittierungen in der Lieferkette, wegen Zero-Day-Schwachstellen, wegen Innentätern und weil hinreichend ausgestattete Gegner — wie ein staatlicher Nachrichtendienst — investieren werden, was immer nötig ist, um das schwächste Glied zu finden.
Die Position des FBI war stets, dass rechtmäßiger Zugriff unverzichtbar ist. Abhörbeschlüsse dienen legitimen Zwecken der Strafverfolgung. Gerichtlich genehmigte Überwachung hat Terroranschläge vereitelt, kriminelle Organisationen zerschlagen und Beweise geliefert, die Verurteilungen in Fällen ermöglichten, in denen es keine anderen Beweise gab. Diese Behauptungen sind nicht erfunden. Die von Salt Typhoon aufgeworfene Frage lautet nicht, ob Abhörmaßnahmen einen Wert haben, sondern ob die architektonischen Kosten, eine flächendeckende Abhörfähigkeit über die gesamte Telekommunikationsinfrastruktur vorzuhalten, den Nutzen für die Strafverfolgung übersteigen — und ob diese Kosten nicht vom FBI getragen werden, sondern von jedem Amerikaner, dessen Metadaten abgeschöpft wurden, von jeder Zielperson, deren Identität offengelegt wurde, und von jeder nachrichtendienstlichen Operation, die kompromittiert wurde, als China durch jene Tür ging, deren Existenz CALEA vorschrieb.
Das einzige Kommunikationssystem, in das man nicht über eine vorgeschriebene Hintertür einbrechen kann, ist eines, das keine vorgeschriebene Hintertür hat.
Die Werkzeuge, die keine Vordertür haben
Ende-zu-Ende-Verschlüsselung, bei der nur die kommunizierenden Parteien die Schlüssel halten, beseitigt jenen zentralen Zugangspunkt, den Salt Typhoon ausgenutzt hat. Es gibt keine Abhörarchitektur zu kompromittieren, weil es keine Abhörarchitektur gibt. Signal nutzt Ende-zu-Ende-Verschlüsselung standardmäßig für jede Nachricht und jeden Anruf. Der Server hält den Klartext nie. Ein Gerichtsbeschluss gegen Signals Infrastruktur bringt nichts Verwertbares hervor, weil Signals Infrastruktur nichts Verwertbares herauszugeben hat. Als eine Grand Jury 2021 die Unterlagen von Signal vorlud, übergab das Unternehmen zwei Datenpunkte: das Datum der Kontoerstellung und das Datum der letzten Verbindung. Das war alles, was Signal hatte.
Dezentrale Kommunikationsnetze gehen weiter. Tor verteilt Datenverkehr über Tausende von freiwillig betriebenen Relays, sodass kein einzelner Knoten sowohl Ursprung als auch Ziel einer Kommunikation beobachten kann. Es gibt keine zentrale Vermittlungsinfrastruktur, in der Abhörtechnik installiert werden könnte. Das CALEA-Modell — bei dem ein Anbieter an einem zentralen Abhörpunkt eine dauerhafte Abhörfähigkeit vorhält — ist architektonisch unmöglich in einem Netz, in dem es keinen zentralen Abhörpunkt gibt.
Dezentrale VPN-Architekturen wie URnetwork leiten Verbindungen über Netze aus Privatanschlussknoten statt über zentralisierte Serverinfrastruktur. Es gibt keinen einzelnen Anbieter, dem man einen Gerichtsbeschluss zustellen könnte, keine zentrale Vermittlungsstelle, in der nach CALEA vorgeschriebene Technik installiert werden könnte, keinen Drittanbieter, dessen Kompromittierung einem Angreifer Zugang zum gesamten Netz verschafft. Die Architektur ist von Grund auf verteilt. Jene Art zentralisierter Interzeption, die CALEA vorschreibt — und die Salt Typhoon ausgenutzt hat —, ist geometrisch unmöglich in einem Netz, in dem der Verkehr durch Tausende unabhängiger Knoten ohne zentralen Sammelpunkt fließt.
Das sind keine theoretischen Architekturen. Es gibt sie. Sie funktionieren. Sie werden von Millionen Menschen genutzt. Und sie gelingen gerade deshalb, weil sie ohne jenes Merkmal gebaut wurden, das die US-Regierung zweiunddreißig Jahre lang gefordert hat: eine Tür, durch die der Staat gehen kann. Salt Typhoon hat bewiesen: Wer eine Tür baut, darf nicht aussuchen, wer hindurchgeht.
Die Lehre, die die Politik nicht gezogen hat
Der Salt-Typhoon-Einbruch in DCSNet hätte die Debatte über vorgeschriebene Hintertüren beenden müssen. Er lieferte den endgültigen empirischen Beweis dessen, wovor die Sicherheitsgemeinde zweiunddreißig Jahre lang gewarnt hatte: Ein vorgeschriebener Zugangspunkt wurde von einem Gegner entdeckt und ausgenutzt und kompromittierte damit genau jene Überwachungsoperationen, die er stützen sollte. Die Hintertür hat Amerika nicht sicherer gemacht. Sie hat Amerikas nachrichtendienstliche Operationen für China sichtbar gemacht.
Doch Politik bewegt sich nicht im Tempo der Belege. Mit Stand April 2026 gibt es keine ernsthaften gesetzgeberischen Bemühungen, CALEA aufzuheben oder zu reformieren. Das FBI hat seine Haltung zu vorgeschriebenen Zugängen nicht öffentlich überprüft. AT&T und Verizon blockieren die Sicherheitsberichte, die dem Kongress ein Verständnis des vollen Ausmaßes des Einbruchs erlauben würden. Die Anbieter halten ihre Abhörarchitektur weiter vor, weil das Gesetz es verlangt. Das Vereinigte Königreich baut seine eigene Überwachungsinfrastruktur aus. Ungarn setzt am Wahltag Ad-Tech-Überwachungswerkzeuge gegen seine Wählerschaft ein. Und Salt Typhoon befindet sich den Forschenden zufolge, die die Operationen der Gruppe verfolgen, wahrscheinlich weiterhin in den kompromittierten Netzen.
Die Werbeindustrie hat ein paralleles Überwachungssystem gebaut, das 500 Millionen Geräte verfolgt, ganz ohne gesetzliche Vorgabe — nur mit dem Marktanreiz, Standortdaten zu sammeln und zu verkaufen. Die Regierungen, die jahrzehntelang Hintertüren in verschlüsselte Kommunikation gefordert haben, stehen nun vor der Realität, dass das Werbeökosystem etwas Umfassenderes gebaut hat, als CALEA je hervorgebracht hat, und dass es jedem Käufer mit einer Bestellung offensteht.
Die Vordertür steht weiterhin offen. Die Hintertür ist weiterhin vorgeschrieben. Die einzige Kommunikation, die China nicht abfangen konnte, war jene, die von vornherein nicht abfangbar war — Ende zu Ende verschlüsselt, über dezentrale Infrastruktur geleitet, getragen von Netzen, in denen die Hintertür nie gebaut wurde.
Die Frage ist nicht, ob der nächste Einbruch kommt. Sie lautet, ob sich vorher irgendetwas ändert.
Quellen: Meldungen des FBI an den Kongress und FISMA-Vorfallsberichte (Februar–April 2026); Erklärungen des Handelsausschusses des Senats (Senatorin Cantwell, Februar 2026); Berichterstattung von Nextgov und Politico zum DCSNet/Red-Hook-Einbruch; Berichterstattung von Bloomberg, NBC News und Wikipedia zu den Salt-Typhoon-Kompromittierungen im Telekommunikationssektor (2019–2026); Citizen Lab, Bericht „Webloc" (11. April 2026) zur Ad-Tech-Überwachung von Cobwebs/Penlink; Berichterstattung von VSquare, OCCRP, Bloomberg und Washington Post zum Überwachungsapparat der Regierung Orbán in Ungarn und zu den Wahlen im April 2026; Biometric Update, The Gazette und Al Jazeera zur Ausweitung der Gesichtserkennung im Vereinigten Königreich; Rückzugsankündigung von Signal (Schweden, Februar 2026); Kongressbrief zu Datenkäufen ohne Beschluss (72 Unterzeichnende); Einschätzungen von Sicherheitsforschenden zum dauerhaften Zugang von Salt Typhoon; Abelson et al., "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption" (1997).